Maru-Janで全会員185万人超の認証情報が流出 再開後もパスワード変更を

オンライン麻雀「Maru-Jan」を運営するシグナルトークは2026年11月7日、会員185万5578人分のメールアドレスとパスワードが流出したと公表しました。対象は全会員で、メールアドレスは登録している場合に含まれます。利用者は公式サイトからパスワードを変更し、他サービスで使い回している場合はそちらも変更してください。

同社は不正アクセスへの対策を実施して11月7日16時にサービスを再開しました。ただし、従来のパスワードでもログインできると説明しています。再びゲームを利用できることと、流出した認証情報をそのまま使ってよいことは別に判断する必要があります。

流出確認とサービス再開までの経緯

同社の11月7日16時30分の発表によると、管理システムの機能を悪用した不正アクセスがあり、11月4日15時頃までに会員情報を含むデータが外部へダウンロードされました。これは漏えいの可能性だけを知らせる発表ではなく、運営会社が情報流出を確認したという報告です。

緊急メンテナンス中はゲームへのログインとWebの会員ページが利用できませんでした。運営会社は侵入経路を特定し、今回悪用された箇所へ対策を行ったうえで再開したとしています。一方、具体的な機能名や侵入手順、悪用された脆弱性番号などは参照した発表に記載されていません。

したがって、特定のソフトウェアの欠陥、ランサムウェア、業務用PCの感染などを原因と断定することはできません。利用者への影響を把握する際は、公表された認証情報の流出と、明らかになっていない技術的な原因を分けて読む必要があります。

カード番号は保有せず パスワードの保存形式は未公表

流出した情報はメールアドレスとパスワードです。クレジットカード番号は同社で保有していないため今回の流出対象に含まれないと説明されています。この説明から、メールアドレスやパスワードも対象外だったと受け取らないようにしてください。

参照した公式資料は、パスワードの保存形式や暗号化・ハッシュ化の方式を明らかにしていません。平文だったとも、保存時の保護によって悪用できないとも推測しません。利用者の対応は保存形式の推測を待たず、運営会社が案内する変更を進めることになります。

公式サイトから変更し 使い回し先にも対応する

運営会社は、Maru-Janでは他のサービスに使っていないパスワードへ速やかに変更するよう求めています。メールや通販サイトで同じパスワードを使っている場合は、それぞれのサービスでも変更が必要です。一つのサービスだけで変更しても、同じ組合せが別の場所で使える状態は残ります。

本サイトからは、まず使い回し先を整理し、メールや購入履歴など重要な情報へアクセスできるアカウントを優先して確認することを提案します。変更後の文字列を別のサービスへ再利用せず、利用中のサービスごとに異なる認証情報を管理します。これは利用者側の対応提案で、他サービスへの侵害が今回確認されたことを意味しません。

同社は、流出したメールアドレスへMaru-Janの案内を装う不審なメールが届く可能性にも注意を促しています。変更手続きはメール内のリンクから進めず、普段利用している公式サイトを開いて行ってください。今回の漏えいに便乗したメールを実際に受信したと確認した報告とは区別します。

再開後も調査と監視を継続

運営会社は、サービス再開をもって対応を終了するとはしていません。サーバー、管理システム、業務用PCの点検、不正アクセスの監視強化、情報管理体制の見直しを継続するとしています。また、今回の問題以外にも弱点がないかを調べ、判明した事実や対策の進捗を公式サイトで知らせる方針です。

会員情報を扱う事業者にとって、本件はサービスの復旧と利用者の認証情報の更新を別々に案内する必要性を示します。本サイトの実務上の提案として、復旧時には利用可否だけでなく、古い認証情報が引き続き有効か、利用者に必要な操作は何か、次の公表をどこで確認できるかを明確にすると、問い合わせ時の判断を揃えやすくなります。

本記事は11月8日に確認した公式発表に基づきます。利用者は対応後も公式のお知らせを確認し、不明点は公式サイトに掲載された問い合わせ先へ相談してください。未公表の原因や被害を補って判断せず、今後の調査で対象や必要な操作が変わる場合に備えます。